Descrizione Bugbear

[amvinfe]

Non mi sembra d'aver visto neelle varie discussioni la descrizione del worm, nel caso mi sbagliassi, ma l'età avanza anche per me...:gren: , prego i Sig. Moderatori:gren: di cancellarla tranquillamente, copio/incollo la descrizione fatta in altri Forum.

E’ una variante del ben noto worm conosciuto mesi fa.
Questa variante del mass mailing worm, ha capacità polimorfiche, se compresso in UPX la sua dimensione è di 72192 byte mentre non compresso la sua dimensione è di 170 KB, per diffondersi sfrutta un proprio motore SMTP, andando a cercare gli indirizzi cui inviarsi , nei files aventi queste estensioni
.ODS
.MMF
.NCH
.MBX
.EML
.TBB
.DBX
INBOX
ha capacità di Backdoor (porta 1080) e Keylogger utilizzando una propria libreria dinamica (.dll collocata in C:WindowsSystem) inoltre, ha la capacità di inibire Firewall ed Antivirus, per ultimo, ma non meno importante, sfrutta un’ormai arcinota vulnerabilità di IE
Incorrect MIME Header Can Cause IE to Execute E-mail Attachment

La mail può avere uno dei segurnti “Oggetto”
Greets!
Get 8 FREE issues - no risk!
Hi!
Your News Alert
$150 FREE Bonus!
Re:
Your Gift
New bonus in your cash account
Tools For Your Online Business
Daily Email Reminder
News
free shipping!
its easy
Warning!
SCAM alert!!!
Sponsors needed
new reading
CALL FOR INFORMATION!
25 merchants and rising
Cows
My eBay ads
empty account
Market Update Report
click on this!
fantastic
wow!
bad news
Lost & Found
New Contests
Today Only
Get a FREE gift!
Membership Confirmation
Report
Please Help...
Stats
I need help about script!!!
Interesting...
Introduction
various
Announcement
history screen
Correction of errors
Just a reminder
Payment notices
hmm..
update
Hello!
ma può anche estrapolare casualmente pezzi di testo da files presenti sulla macchina infetta.
Questi i nomi dei files che arrivano come “Allegato” tutti con estensione .exe .pif .scr

readme
Setup
Card
Docs
news
image
images
pics
resume
photo
video
music
song
data

anche in questo caso il nome dell’Allegato può essere preso casualmente dalla macchina infetta andando a cercare nella cartella Documenti un file con estensione
· .reg
· .ini
· .bat
· .diz
· .txt
· .cpp
· .html
· .htm
· .jpeg
· .jpg
· .gif
· .cpl
· .dll
· .vxd
· .sys
· .com
· .exe
· .bmp
ma in questo caso l’Allegato avrà doppia estensione, ad es. .gif.pif
Cerca di collocare in Startup un file .exe di tre o quattro lettere, la Symantec nella sua descrizione sostiene che le lettere siano tre (ad es. Cuu.exe o Cti.exe) per la McAfee e la Bitdefender le letterere sarebbero quattro (ad es. BSFS.exe)

E’ un worm che può diffondersi anche in rete locale cercando d’infettare questi files presenti nelle cartelle Programmi e Windows.
winzipwinzip32.exe
kazaakazaa.exe
ICQIcq.exe
DAPDAP.exe
Winampwinamp.exe
AIM95aim.exe
LavasoftAd-aware 6Ad-aware.exe
TrillianTrillian.exe
Zone LabsZoneAlarmZoneAlarm.exe
StreamCastMorpheusMorpheus.exe
QuickTimeQuickTimePlayer.exe
WS_FTPWS_FTP95.exe
MSN Messengermsnmsgr.exe
ACDSee32ACDSee32.exe
AdobeAcrobat 4.0ReaderAcroRd32.exe
CuteFTPcutftp32.exe
FarFar.exe
Outlook Expressmsimn.exe
RealRealPlayerrealplay.exe
Windows Media Playermplayer2.exe
WinRARWinRAR.exe
adobeacrobat 5.0readeracrord32.exe
Internet Exploreriexplore.exe
winhelp.exe
notepad.exe
hh.exe
mplayer.exe
regedit.exe
scandskw.exe
Cerca di terminare i seguenti prodotti di sicurezza:
· ZONEALARM.EXE
· WFINDV32.EXE
· WEBSCANX.EXE
· VSSTAT.EXE
· VSHWIN32.EXE
· VSECOMR.EXE
· VSCAN40.EXE
· VETTRAY.EXE
· VET95.EXE
· TDS2-NT.EXE
· TDS2-98.EXE
· TCA.EXE
· TBSCAN.EXE
· SWEEP95.EXE
· SPHINX.EXE
· SMC.EXE
· SERV95.EXE
· SCRSCAN.EXE
· SCANPM.EXE
· SCAN95.EXE
· SCAN32.EXE
· SAFEWEB.EXE
· RESCUE.EXE
· RAV7WIN.EXE
· RAV7.EXE
· PERSFW.EXE
· PCFWALLICON.EXE
· PCCWIN98.EXE
· PAVW.EXE
· PAVSCHED.EXE
· PAVCL.EXE
· PADMIN.EOUTPOST.EXE
· NVC95.EXE
· NUPGRADE.EXE
· NORMIST.EXE
· NMAIN.EXE
· NISUM.EXE
· NAVWNT.EXE
· NAVW32.EXE
· NAVNT.EXE
· NAVLU32.EXE
· NAVAPW32.EXE
· N32SCANW.EXE
· MPFTRAY.EXE
· MOOLIVE.EXE
· LUALL.EXE
· LOOKOUT.EXE
· LOCKDOWN2000.EXE
· JEDI.EXE
· IOMON98.EXE
· IFACE.EXE
· ICSUPPNT.EXE
· ICSUPP95.EXE
· ICMON.EXE
· ICLOADNT.EXE
· ICLOAD95.EXE
· IBMAVSP.EXE
· IBMASN.EXE
· IAMSERV.EXE
· IAMAPP.EXE
· FRW.EXE
· FPROT.EXE
· FP-WIN.EXE
· FINDVIRU.EXE
· F-STOPW.EXE
· F-PROT95.EXE
· F-PROT.EXE
· F-AGNT95.EXE
· ESPWATCH.EXE
· ESAFE.EXE
· ECENGINE.EXE
· DVP95_0.EXE
· DVP95.EXE
· CLEANER3.EXE
· CLEANER.EXE
· CLAW95CF.EXE
· CLAW95.EXE
· CFINET32.EXE
· CFINET.EXE
· CFIAUDIT.EXE
· CFIADMIN.EXE
· BLACKICE.EXE
· BLACKD.EXE
· AVWUPD32.EXE
· AVWIN95.EXE
· AVSCHED32.EXE
· AVPUPD.EXE
· AVPTC32.EXE
· AVPM.EXE
· AVPDOS32.EXE
· AVPCC.EXE
· AVP32.EXE
· AVP.EXE
· AVNT.EXE
· AVKSERV.EXE
· AVGCTRL.EXE
· AVE32.EXE
· AVCONSOL.EXE
· AUTODOWN.EXE
· APVXDWIN.EXE
· ANTI-TROJAN.EXE
· ACKWIN32.EXE
· _AVPM.EXE
· _AVPCC.EXE
· _AVP32.EXE
Importante:
Ricordarsi di disabilitare il System Restore nei S.O WinME e WinXP prima di lanciare la scansione con il proprio Antivirus o prima di lanciare i tool di rimozione.
Tool di rimozione
http://www.bitdefender.com/html/free_tools.php#
http://www.nod32.it/home/home.htm

Marco(amvinfe)
N.B.
affinchè i fix_tool facciano il loro lavoro di rimozione, in una LAN le macchine non devono essere connesse alla rete, prima di lanciare il fix, riavviare in mod. provvisoria, il procedimento va fatto su ogni macchina.

Marco(amvinfe)

[Al è qui]

Merita ovviamente il rilievo...

[infinitejustice]

A me è arrivato stanotte in email, ma il Norton aggiornato lo ha eliminato

[dvds]

Originariamente inviato da infinitejustice
A me è arrivato stanotte in email, ma il Norton aggiornato lo ha eliminato

a me non è arrivato

hanno gli av aggiornati sui server

[Cell]

Grazie, utilissimo!

[laurarisso]

Non so se questa informazione può essere d'aiuto a qualcuno...io ho ricevuto 3 volte questo virus, una delle quali aveva un'estensione diversa da quelle segnalate sui vari siti di antivirus (mcafee e via dicendo) ovvero "amtrates.doc.scr"...l'antivirus mi ha bloccato l'allegato(e meno male!!!) segnalando la presenza dell'ormai famigerato w32/bugbear.b
ciao a tutti!!!

[amvinfe]

Originariamente inviato da laurarisso
Non so se questa informazione può essere d'aiuto a qualcuno...io ho ricevuto 3 volte questo virus, una delle quali aveva un'estensione diversa da quelle segnalate sui vari siti di antivirus (mcafee e via dicendo) ovvero "amtrates.doc.scr"...l'antivirus mi ha bloccato l'allegato(e meno male!!!) segnalando la presenza dell'ormai famigerato w32/bugbear.b
ciao a tutti!!!

Questo allegato "amtrates.doc.scr" non è diverso da ciò che viene descritto sulle pagine delle varie Aziende di Sicurezza, infatti se tralasci la parte meno importante, e cioè il nome dell'allegato "amtrates", il resto ti fa capire che hai a che fare, in questo caso, con Bugbear:
doppia estensione .doc.scr, dove la prima estensione è un file preso da un documento di un Pc infetto e la seconda estensione .scr è il worm.

Marco(amvinfe)

[Nounours]

(ITnews) - Roma - Symantec ha rilevato una nuova funzionalità del worm W32Bugbear.B@mm che non si era rivelata al momento della sua diffusione, giovedì 5 maggio.

Symantec sta allertando in maniera precisa le istituzioni finanziarie a livello mondiale del fatto che potrebbero essere particolarmente esposte a questo nuovo rischio.

Symantec ha, infatti, scoperto che se il worm W32.Bugbear.B@mm `capisce` che gli indirizzi email del sistema locale infettato appartengono a istituzioni finanziarie, può carpire dati sensibili e mandarli a uno dei seguenti 10 indirizzi email:


ifrbr@canada.com
sdorad@juno.com
fbnfgh@email.ro
eruir@hotpop.com
ersdes@truthmail.com
eofb2@blazemail.com
ioter5@yook.de
iuery@myrealbox.com
jkfhw@wildemail.com
ds2iahf@kukamail.com

Le informazioni carpite ai sistemi e mandate via e-mail includono alcuni o tutti i seguenti elementi:

- indirizzi e-mail della rubrica della macchina infettata - SMTP server della macchina infettata - messaggi che vengono composti sulla tastiera, compresi dati sensibili come le password, che il worm decodifica.


Fonte

[amvinfe]

...non per niente installa una Backdoor (porta 1080) ed inoltre il worm ha capacità di Keylogger
citazione
ha capacità di Backdoor (porta 1080) e Keylogger utilizzando una propria libreria dinamica (.dll collocata in C:WindowsSystem)
Marco(amvinfe)

[PAndy]

domanda:
è possibile che generi dei messaggi spedendoli con un indirizzo e-mail mittente non esistente e generato da lui ?
Mi spiego :
mi sono arrivati nella casella postmaster (che funge da catchall) un sacco di risposte di presenza virus in un messaggio inviato da gigiferrari@xxxxxxxx.it
xxxxxxx è il mio dominio ma non esiste un account gigiferrari.
Considerati i destinatari dei messaggi e l'oggetto della mail, non credo sia stato generato dal mio PC (ho antivirus aggiornato)...
potrebbe essere partito da PC di utente che ha mio indirizzo mail ??
grazie per le risposte...